Configurer True SSO pour l'utiliser avec votre environnementHorizon Cloud

Après avoir inscrit un domaine Active Directory avec votre environnement Horizon Cloud et intégré l'environnement à VMware Workspace ONE, vous pouvez configurer True SSO à cet effet. True SSO est une fonctionnalité qui s'intègre à Workspace ONE Access pour permettre aux utilisateurs d'effectuer une authentification de type Single Sign-On sur des applications et postes de travail virtuels Windows desservis par Horizon Cloud sans devoir entrer les informations d'identification Active Directory dans le système d'exploitation Windows. Lorsque la fonctionnalité True SSO est configurée pour votre environnement, les utilisateurs finaux s'authentifient à l'URL Workspace ONE que vous leur fournissez pour accéder à leurs applications et postes de travail autorisés. Après cette authentification, les utilisateurs peuvent lancer leurs postes de travail ou applications autorisés sans invite d'informations d'identification Active Directory.

Important : La configuration True SSO est un type de configuration à l'échelle du locataire. La configuration True SSO s'applique à tous les espaces Horizon Cloud de votre flotte dans Microsoft Azure. Par conséquent, après avoir configuré True SSO dans votre locataire Horizon Cloud pour la première fois, puis déployé ultérieurement des espaces Horizon Cloud supplémentaires dans vos abonnements Microsoft Azure à l'aide de l'assistant de déploiement automatisé de l'espace, le système envoie la même configuration True SSO à tous ces espaces et tente de valider la même configuration True SSO pour ces espaces.

La configuration de True SSO pour l'utiliser avec votre environnement est un processus en plusieurs étapes. À un niveau élevé, les étapes sont les suivantes :

Configurez l'infrastructure nécessaire au fonctionnement de True SSO, impliquant les étapes suivantes :
1. Installation et configuration d'une autorité de certification (CA) Microsoft Windows Server pour qu'elle soit une autorité de certification d'entreprise. La procédure décrite dans cette section s'applique à Microsoft Windows Server 2012 R2. Des étapes semblables peuvent être suivies sur les autres versions de Microsoft Windows Server prises en charge pour une utilisation avec cette fonctionnalité.
2. Configuration d'un modèle de certificat sur l'autorité de certification.
  Important : Utilisez uniquement des caractères ASCII dans les noms de vos modèles de True SSO. En raison de ce problème connu, si les noms de modèles de True SSO contiennent des caractères non-ASCII ou ASCII étendus, vous ne pouvez pas configurer True SSO avec votre environnement Horizon Cloud.
3. Téléchargement du bundle de couplage d'Horizon Cloud sur la page Active Directory d'Horizon Universal Console. Le bundle de couplage est utilisé lors de la configuration du serveur d'inscription.
4. Configuration du serveur d’inscription.
  Important : Après avoir configuré le serveur d'inscription, assurez-vous de répondre aux conditions requises de port du serveur d'inscription à la section Locataires de première génération - Déploiements d'Horizon Cloud on Microsoft Azure - Conditions requises de résolution de noms d'hôtes, Noms DNS.
Ajout des informations du serveur d'inscription à la page Active Directory d'Horizon Universal Console.

Une fois la configuration terminée, l’autorité de certification d’entreprise et le serveur d’inscription collaborent pour émettre des certificats de courte durée qui sont utilisés pour connecter les utilisateurs à leurs postes de travail et applications autorisés. L'espace Horizon Cloud demande au serveur d’inscription un certificat pour un utilisateur autorisé spécifique. Le serveur d’inscription contacte l’autorité de certification pour générer le certificat demandé, puis renvoie le certificat à l'espace Horizon Cloud.

Conditions préalables

Avant de configurer True SSO, vous devez disposer d'au moins un environnement Workspace ONE Access configuré avec votre environnement Horizon Cloud. Reportez-vous à la rubrique de la documentation À propos de l'utilisation d'un environnement Horizon Cloud avec VMware Workspace ONE et avec la fonctionnalité facultative True SSO et suivez la procédure d'intégration appropriée à la configuration de votre environnement Horizon Cloud.

Résultats

Une fois les étapes terminées, votre environnement est configuré avec l'authentification unique réelle.

Horizon Cloud - True SSO - Configurer une autorité de certification d'entreprise à l'aide d'un système Microsoft Windows Server

Une autorité de certification Microsoft est requise pour l'utilisation de la fonctionnalité SSO réelle. Si une autorité de certification n'est pas déjà configurée, vous devez ajouter le rôle Services de certificats Active Directory (AD CS) à un serveur Microsoft Windows et configurer le serveur en tant qu'autorité de certification d'entreprise. Vous pouvez utiliser l'assistant Service Manager pour effectuer cette procédure.

Voici les étapes standard à suivre pour configurer une autorité de certification Microsoft. Dans cette rubrique, elles sont détaillées dans un formulaire simple destiné à être utilisé dans un environnement de laboratoire, mais pour un système de production réel, il est recommandé de suivre les meilleures pratiques du secteur pour la configuration de l'autorité de certification.

Si vous avez besoin d'instructions supplémentaires pour configurer une autorité de certification, consultez les références techniques standard de Microsoft : Guide de configuration pas à pas des services de certificats Active Directory et Installer une autorité de certification racine.

Note : Pour illustrer le processus, les étapes spécifiques de cette rubrique sont basées sur l'utilisation de Windows Server 2012 R2. Des étapes très similaires peuvent être suivies sur d'autres systèmes Windows Server. Si vous souhaitez installer le serveur d'inscription sur le système qui héberge cette autorité de certification, veillez à utiliser l'une des versions de Windows Server prises en charge pour le serveur d'inscription. Reportez-vous à la section Horizon Cloud de première génération - True SSO - Configurer le serveur d'inscription.

Procédure

Dans le tableau de bord Gestionnaire de serveur, cliquez sur Ajouter des rôles et fonctionnalités pour ouvrir l'assistant, puis cliquez sur Suivant.
Sur la page Sélectionnez un type d'installation, sélectionnez une installation basée sur les rôles ou sur les fonctionnalités et cliquez sur Suivant.
Sur la page Sélection du serveur, conservez les paramètres par défaut et cliquez sur Suivant.
Sur la page Rôles de serveur :
1. Sélectionnez Services de certificats Active Directory.
2. Dans la boîte de dialogue, sélectionnez Inclure les outils de gestion (le cas échéant) et cliquez sur Ajouter des fonctionnalités.
3. Cliquez sur Suivant.
Sur la page Fonctionnalités, cliquez sur Suivant.
Sur la page AD CS, cliquez sur Suivant.
Sur la page Services de rôle, sélectionnez Autorité de Certification et cliquez sur Suivant.
Sur la page Confirmation, sélectionnez Redémarrer le serveur de destination automatiquement et cliquez sur Installer.
La progression de l'installation s'affiche. Lorsque l'installation est terminée, un lien URL s'affiche, et vous pouvez configurer l'autorité de certification récemment installée via l'option « Configurer les services de certificats Active Directory » sur le serveur de destination.
Cliquez sur le lien de configuration pour lancer l'assistant de configuration.
Sur la page Informations d'identification, entrez les informations d'identification utilisateur du groupe d'administrateur d'entreprise et cliquez sur Suivant.
Sur la page Services de rôle, sélectionnez Autorité de certification et cliquez sur Suivant.
Sur la page Type d'installation, sélectionnez Autorité de certification d'entreprise et cliquez sur Suivant.
Sur la page Type d'autorité de certification, sélectionnez Autorité de certification racine ou subordonnée selon le cas (dans notre exemple, il s'agit d'une autorité de certification racine) et cliquez sur Suivant.
Sur la page Clé privée, sélectionnez Créer une nouvelle clé privée et cliquez sur Suivant.

Sur la page Chiffrement, entrez les informations comme suit.


Champ	Description
Fournisseur de services de chiffrement	Fournisseur de stockage de clés logicielles RSA#Microsoft
Longueur de clé	4096 (ou une autre longueur si vous préférez)
Algorithme de hachage	SHA256 (ou un autre algorithme SHA si vous préférez)

Sur la page Nom de l'autorité de certification, effectuez la configuration de votre choix ou acceptez les valeurs par défaut et cliquez sur Suivant.
Sur la page Période de validité, effectuez la configuration de votre choix et cliquez sur Suivant.
Sur la page Base de données de certificats, cliquez sur Suivant.
Sur la page Confirmation, passez en revue les informations fournies et cliquez sur Configurer.
Terminez le processus de configuration en effectuant les tâches suivantes (exécutez toutes les commandes depuis l'invite de commande).
1. Configurez l'autorité de certification pour le traitement non persistant des certificats
```
certutil –setreg DBFlags 
+DBFLAGS_ENABLEVOLATILEREQUESTS
```
2. Configurez l'autorité de certification pour ignorer les erreurs de la liste de révocation de certificats hors ligne
```
certutil –setreg ca\CRLFlags 
+CRLF_REVCHECK_IGNORE_OFFLINE
```
3. Redémarrez le service de l'autorité de certification
```
net stop certsvc
net start certsvc
```
Configurez un modèle de certificat sur l’autorité de certification en effectuant la procédure décrite dans Horizon Cloud - True SSO - Configurer un modèle de certificat sur la CA.

Horizon Cloud - True SSO - Configurer un modèle de certificat sur la CA

Vous pouvez configurer le modèle de certificat sur l'autorité de certification. Le modèle de certificat est la base pour les certificats que génère l'autorité de certification.

Conditions préalables

Effectuez la procédure décrite dans la section Horizon Cloud - True SSO - Configurer une autorité de certification d'entreprise à l'aide d'un système Microsoft Windows Server.

Procédure

Créez un groupe de sécurité universel.

Créer ce groupe vous permet de disposer d'un groupe de sécurité unique auquel vous pouvez attribuer les autorisations requises pour émettre des certificats pour le compte des utilisateurs. Tous les ordinateurs sur lesquels sont installés les serveurs d'inscription VMware peuvent hériter de ces autorisations en devenant un membre de ce groupe.

Cliquez sur Démarrer, puis entrez dsa.msc.
La fenêtre Utilisateurs et ordinateurs Active Directory s'affiche.
Dans l'arborescence, cliquez avec le bouton droit de la souris sur le dossier Utilisateurs pour le contrôleur de domaine et sélectionnez Nouveau > Groupe.
La fenêtre Nouvel objet - Groupe s'affiche.
Dans le champ Nom du groupe, entrez un nom pour le nouveau groupe. Par exemple, les serveurs d'inscription True SSO.

Définissez les valeurs suivantes.


Paramètre	Valeur
Portée du groupe	Universel
Type de groupe	Sécurité

Cliquez sur OK.
Le nouveau groupe apparaît dans l'arborescence dans la fenêtre Utilisateurs et ordinateurs Active Directory.
Cliquez avec le bouton droit de la souris sur le groupe et sélectionnez Propriétés.
Sous l'onglet Membre de, ajoutez chaque ordinateur sur lequel vous allez installer un serveur d'inscription, puis cliquez sur OK.
Redémarrez chaque ordinateur sur lequel vous allez installer un serveur d'inscription.

Configurez le modèle de certificat.

Sélectionnez Panneau de contrôle > Outils d'administration > Autorité de certification.
Dans l'arborescence, développez le nom de l'autorité de certification locale.
Cliquez avec le bouton droit sur le dossier Modèles de certificat, puis sélectionnez Gérer.
La console des modèles de certificat s'affiche.
Cliquez avec le bouton droit sur le modèle Ouverture de session par carte à puce et sélectionnez Dupliquer le modèle.
La fenêtre Propriétés du nouveau modèle s'affiche.

Entrez les informations dans les onglets de la fenêtre comme décrit ci-dessous.


Onglet	Paramètres
Compatibilité	Cochez la case Afficher les modifications résultantes. Autorité de certification : sélectionnez le système d'exploitation Windows Destinataire du certificat : sélectionnez le système d'exploitation Windows
Général	Important : Utilisez uniquement des caractères ASCII dans les noms de vos modèles de True SSO. En raison de ce problème connu, si les noms de modèles de True SSO contiennent des caractères non-ASCII ou ASCII étendus, vous ne pouvez pas configurer True SSO avec votre environnement Horizon Cloud. Nom d'affichage du modèle : nom de votre choix. Par exemple, modèle de True SSO. Nom du modèle : nom de votre choix. Par exemple, modèle de True SSO. Période de validité : 1 heure Période de renouvellement : 0 semaine
Traitement de la demande	Objectif : ouverture de session par signature et carte à puce Cochez la case Pour le renouvellement automatique des certificats par carte à puce. Sélectionnez la case d'option Inviter l'utilisateur lors de l'inscription
Chiffrement	Catégorie de fournisseurs : fournisseur de stockage de clés Nom d'algorithme : RSA Taille de clé minimale : 2048 Sélectionnez le bouton radio Les demandes peuvent utiliser n'importe quel fournisseur disponible. Demande de hachage : SHA256
Nom du sujet	Sélectionnez la case d'option Créer à partir de ces informations Active Directory. Format du nom du sujet : nom unique Cochez la case Nom principal d'utilisateur (UPN).
Serveur	Cochez la case Ne pas stocker les certificats et les demandes dans la base de données de l'autorité de certification.
Conditions d'émission	Nécessite les informations suivantes pour l'inscription : sélectionnez Ce nombre de signatures autorisées, puis entrez `1`. Type de stratégie requis dans la signature : stratégie d'application Politique d'application : agent de demande de certificat Nécessite les informations suivantes pour l'inscription : certificat existant valide
Sécurité	Dans la partie supérieure de l'onglet, sélectionnez le groupe que vous avez créé. Puis, dans la partie inférieure de l'onglet, sélectionnez Autoriser pour les autorisations de lecture et d'inscription.

Cliquez sur OK.

Émettez le modèle pour True SSO.
1. Cliquez de nouveau avec le bouton droit de la souris dans le dossier des modèles de certificat et sélectionnez Nouveau > Modèle de certificat à émettre.
  La fenêtre Activer les modèles de certificat s'affiche.
2. Sélectionnez TrueSsoTemplate et cliquez sur OK.
Émettez le modèle Agent d'inscription.
1. Cliquez de nouveau avec le bouton droit de la souris dans le dossier des modèles de certificat et sélectionnez Nouveau > Modèle de certificat à émettre.
  La fenêtre Activer les modèles de certificat s'affiche.
2. Sélectionnez l'ordinateur Agent d'inscription et cliquez sur OK.
  
  Note : Ce modèle doit disposer des mêmes paramètres de sécurité que le modèle émis à l'étape précédente.
L'autorité de certification est maintenant installée et configurée avec un modèle de certificat pouvant être utilisé avec True SSO.
Téléchargez le bundle de couplage d'Horizon Cloud en effectuant la procédure décrite dans Horizon Cloud - True SSO - Télécharger le bundle de couplage d'Horizon Cloud.

Horizon Cloud - True SSO - Télécharger le bundle de couplage d'Horizon Cloud

Ce bundle de couplage est nécessaire à la configuration du serveur d’inscription lorsque vous configurerez votre environnement Horizon Cloud pour True SSO. Vous devez télécharger le bundle de couplage sur la page Active Directory de Horizon Universal Console.

Le bundle de couplage contient un fichier de certificat pour chaque espace Horizon Cloud déployé dans Microsoft Azure pour votre environnement Horizon Cloud. Pour les espaces pour lesquels vous souhaitez configurer True SSO, vous devez télécharger ces fichiers de certificat de ces espaces vers le serveur d'inscription. Lorsque vous avez un espace, le bundle contient un fichier de certificat au format CRT. Lorsque vous avez plusieurs espaces, le bundle contient plusieurs fichiers CRT, un par espace. Le nom de chaque fichier CRT suit le modèle :

podID_truesso.crt

où podID est l'ID de l'espace qui s’affiche sur la page Résumé de l'espace.

Procédure

Dans la console, accédez à Paramètres > Active Directory.
Dans la zone Configuration de True SSO, obtenez le fichier pairing_bundle.7z en cliquant sur Télécharger le jeton de couplage.
Enregistrez le fichier dans un emplacement où vous pouvez extraire son contenu.
Pour les espaces pour lesquels vous voulez configurer True SSO, extrayez les fichiers CRT des espaces du bundle de couplage à un emplacement où vous pouvez les récupérer lorsque vous configurerez le serveur d’inscription.
Le bundle de couplage contient un fichier de certificat pour chaque espace de votre environnement. Chaque nom de fichier CRT suit le modèle podID_truesso.crt, où podID est la valeur ID de l'espace.
Configurez le serveur d'inscription en effectuant la procédure décrite dans Horizon Cloud de première génération - True SSO - Configurer le serveur d'inscription.

Horizon Cloud de première génération - True SSO - Configurer le serveur d'inscription

Cette page de documentation décrit comment configurer le serveur d'inscription pour l'utiliser avec des déploiements Horizon Cloud on Microsoft Azure de première génération.

Le serveur d’inscription est un composant d’Horizon Cloud on Microsoft Azure que vous installez sur une machine Windows Server comme dernière étape de configuration de l’infrastructure pour True SSO. En déployant le certificat d’agent d’inscription (ordinateur) sur le serveur, vous autorisez ce serveur d'inscription à agir en tant qu'agent d’inscription et à générer des certificats pour le compte d’utilisateurs.

Attention : Lorsque vous configurez des serveurs d'inscription, si votre locataire de première génération dispose de plusieurs déploiements d' Horizon Cloud on Microsoft Azure dans sa flotte, vous devez vous assurer que ces serveurs sont accessibles à partir de toutes les instances du gestionnaire d'espace de ces déploiements. Sinon, l'étape finale de couplage échoue (l' étape d'achèvement échoue).

Comme décrit dans la remarque importante sur la page Configurer True SSO pour une utilisation avec votre environnement Horizon Cloud, la configuration True SSO est un type de configuration à l'échelle du locataire. Le système envoie la même configuration True SSO à tous les espaces de la flotte du locataire et tente de valider la même configuration True SSO sur tous ces espaces. Si vous mettez en place un serveur d'inscription pour utiliser l'espace A, ainsi qu'un serveur d'inscription distinct pour utiliser l'espace B, ces deux serveurs doivent être accessibles depuis l'espace A et l'espace B.

Conditions préalables

Vérifiez que vous avez effectué la procédure décrite dans Horizon Cloud - True SSO - Configurer une autorité de certification d'entreprise à l'aide d'un système Microsoft Windows Server, Horizon Cloud - True SSO - Configurer un modèle de certificat sur la CA et dans Horizon Cloud - True SSO - Télécharger le bundle de couplage d'Horizon Cloud.

Note : L'autorité de certification d'entreprise doit être configurée de manière que vous puissiez voir les éléments appropriés dans l'assistant Inscription de certificat dans les étapes documentées sur cette page.

Vérifiez que le système sur lequel vous allez installer le logiciel du serveur d'inscription exécute l'un de ces systèmes d'exploitation pris en charge pour cette installation : Windows Server 2012 R2, Windows Server 2016, Windows Server 2019. Le système doit disposer d'au moins 4 Go de mémoire.

Note : Windows Server 2022 ne prend pas en charge l'utilisation de serveurs d'inscription avec les déploiements d' Horizon Cloud on Microsoft Azure de première génération.

Les étiquettes des étapes suivantes reflètent l'exécution des étapes sur un système Windows Server 2016.

Procédure

Installez le serveur d'inscription sur le système.
1. Téléchargez le fichier Enrollment Server.exe sur le site My VMware. Le nom de fichier doit être semblable à VMware-HorizonCloud-TruessoEnrollmentServer-x86_64-7.3.0-xxxxx.exe.
2. Vérifiez que le système répond aux conditions préalables décrites précédemment.
3. Exécutez le programme d’installation et suivez l’assistant.
Sur le serveur d'inscription, ajoutez le composant logiciel enfichable Certificat à la console de gestion Microsoft (MMC).
1. Ouvrez la console de gestion Microsoft et sélectionnez Fichier > Ajouter/Supprimer un composant logiciel enfichable.
2. Sous Composants logiciels enfichables disponibles, sélectionnez Certificats et cliquez sur Ajouter.
3. Dans la fenêtre de composant logiciel enfichable Certificats, sélectionnez Compte d'ordinateur et cliquez sur Suivant.
4. Dans la fenêtre Sélectionner un ordinateur, conservez l'option par défaut Ordinateur local et cliquez sur Terminer.
5. De retour dans la fenêtre Ajouter ou supprimer des composants enfichables, cliquez sur OK pour terminer l'ajout du composant logiciel enfichable Certificats.
Déployez le certificat de l'agent d'inscription sur ce serveur d'inscription.
1. Dans la console de gestion Microsoft, développez le composant logiciel enfichable Certificats (ordinateur local) que vous avez ajouté à l'étape précédente, cliquez avec le bouton droit sur le dossier Personnel, puis sélectionnez Toutes les tâches > Demander un nouveau certificat.
  L'assistant Inscription de certificat démarre.
2. Acceptez les valeurs par défaut proposées par l'assistant Inscription de certificat jusqu'à l'étape Demander des certificats.
3. Sur la page Demander des certificats de l'assistant, cochez la case Agent d'inscription (ordinateur) et cliquez sur Inscrire.
4. Acceptez les valeurs par défaut dans les étapes restantes de l'assistant, puis cliquez sur Terminer à l'étape finale.
Importez les fichiers CRT de certificat des espaces du fichier pairing_bundle.7z, pour ces espaces avec lesquels vous voulez configurer l'authentification unique réelle.
Le bundle de couplage contient un fichier de certificat pour chaque espace de votre environnement. Chaque nom de fichier CRT suit le modèle podID_truesso.crt, où podID est la valeur ID de l'espace.
1. Dans la console de gestion Microsoft, cliquez avec le bouton droit sur le sous-dossier Certificats sous le dossier Racines de confiance du serveur d'inscription de VMware Horizon View et sélectionnez Toutes les tâches > Importer.
2. Dans l'assistant Importation de certificat, suivez les invites pour accéder à l'emplacement où vous avez extrait les fichiers de certificat du bundle pairing_bundle.7z.
  Lorsque vous n'avez qu'un seul espace, le bundle ne contient qu'un fichier CRT. Lorsque vous avez plusieurs espaces, le bundle contient un fichier CRT pour chaque espace.
3. Importez le fichier ou les fichiers de certificat, selon le nombre d'espaces que vous configurez.
4. Cliquez sur Suivant, puis sur Terminer.
Effectuez la procédure de configuration restante décrite dans Horizon Cloud - True SSO - Terminer la configuration de True SSO pour votre environnement Horizon Cloud.

Horizon Cloud - True SSO - Terminer la configuration de True SSO pour votre environnement Horizon Cloud

Une fois le serveur d'inscription configuré, entrez les informations sur la page Active Directory d'Horizon Universal Console.

Conditions préalables

Effectuez l'étape Horizon Cloud de première génération - True SSO - Configurer le serveur d'inscription précédente.

Veillez à remplir les conditions requises en matière de port et de protocole pour le trafic réseau des machines virtuelles du gestionnaire d'espace et du serveur d'inscription, comme décrit à la section Locataires de première génération - Déploiements d'Horizon Cloud on Microsoft Azure - Conditions requises de résolution de noms d'hôtes, Noms DNS. Si les ports appropriés n'autorisent pas le trafic, le couplage du serveur d'inscription échouera.

Procédure

Dans la console, accédez à Paramètres > Active Directory.
Cliquez sur Ajouter en regard de Configuration de True SSO.

La boîte de dialogue Configuration de True SSO s'affiche.

Note : Étant donné que vous avez déjà configuré le serveur d’inscription, vous pouvez ignorer le lien Télécharger le jeton de couplage dans cette boîte de dialogue.
Entrez le nom de domaine complet (FQDN) de votre serveur d'inscription dans le champ Serveur d'inscription principal, puis cliquez sur le bouton Tester le couplage en regard du champ.
Les autres champs requis sont remplis automatiquement.
Cliquez sur Enregistrer
Pour configurer un serveur d’inscription secondaire pour la haute disponibilité, procédez comme suit.
1. Répétez la procédure décrite dans la section Horizon Cloud de première génération - True SSO - Configurer le serveur d'inscription sur une deuxième machine.
2. Modifiez la configuration True SSO et ajoutez la seconde adresse ES dans le champ Serveur d’inscription secondaire, puis testez le couplage.
3. Enregistrez la configuration de nouveau.

Résultats

Les informations de configuration s’affichent maintenant sur la page Active Directory sous Configuration True SSO.